Was ein KI-Agent ist
Ein Chatbot antwortet mit Text. Ein Agent nutzt zusätzlich Werkzeuge: er durchsucht Ihre Dokumente, ruft eine API auf, schreibt in eine Datenbank oder schickt eine E-Mail. Das macht ihn nützlich und riskant zugleich, denn er sagt nicht mehr nur Dinge, er tut sie.
Im Unternehmen entstehen sie meist an etwas Bestehendem: der internen Suche, dem CRM, dem Messenger. Genau dort erben sie Berechtigungen, die niemand geprüft hat.
Arten von KI-Agenten
Lehrbücher ordnen sie danach, wie sie entscheiden: reaktiv, zielbasiert, lernend. Im Unternehmen hilft es mehr, sie danach zu ordnen, was sie tun können. Der Assistent mit Werkzeugen antwortet und fragt Systeme ab, wenn man ihn bittet. Der Workflow-Agent erledigt allein eine Aufgabe mit mehreren Schritten, etwa Mails sortieren und Tickets anlegen. Und in Multi-Agenten-Systemen plant einer und andere führen aus, was meist agentische KI genannt wird.
Je mehr Autonomie, desto wichtiger ist, was er anfassen darf. Ein Assistent, der nur liest, ist ein Datenrisiko; ein Agent, der schreibt, verschickt oder zahlt, ist zusätzlich ein Geld- und Reputationsrisiko.
Beispiele für KI-Agenten im Unternehmen
Kundenservice: antwortet aus der Wissensdatenbank und legt den Fall im CRM an. Vertrieb: fasst Gespräche zusammen und aktualisiert Opportunities. Entwicklung: schreibt Änderungen und öffnet Pull Requests. Daten: beantwortet Geschäftsfragen über das Data Warehouse. Betrieb: liest Alarme, sucht die Ursache und schlägt die Behebung vor.
Überall stellt sich dieselbe Frage: mit welchen Rechten handelt er, und wer sieht, was er tut. Ein Support-Agent, der alle Fälle lesen darf, kann die eines anderen Kunden herausgeben; ein Daten-Agent mit Admin-Rechten beantwortet, was der Fragende nicht sehen dürfte.
Was schiefgehen kann
Drei Dinge wiederholen sich. Erstens gibt er einer Person Daten, die ihr nicht gehören, weil der Agent mehr sieht als der Fragende. Zweitens Prompt Injection: ein in einem Dokument oder einer Website versteckter Text ändert seine Anweisungen. Drittens handelt er zu weit: er löscht, verschickt oder zahlt, ohne dass jemand zugestimmt hat.
Keines der drei zeigt sich in der Demo, denn dort gehört das Dokument Ihnen, die Frage ist freundlich und das Volumen sind drei Dateien.
Was wir prüfen, bevor er allein läuft
Welche Daten er lesen und zurückgeben darf, und an wen; welche Werkzeuge er nutzen darf und mit welchen Kosten- und Nutzungsgrenzen; seine Widerstandsfähigkeit gegen Prompt Injection, von Hand getestet mit den Fällen eines Angreifers; was zu jeder Entscheidung protokolliert wird; und was passiert, wenn sich das Modell ändert, denn danach schaut niemand mehr.
Dieses Review ist das der KI-Governance, wenn es ums Ganze geht, und das von Backend und API, wenn es um das System geht, in dem der Agent lebt.